Kiedy warto zlecić profesjonalne wykrywanie podsłuchów?
Kiedy warto zlecić profesjonalne wykrywanie podsłuchów Sprawdź, w jakich sytuacjach kontrola TSCM jest uzasadniona i kiedy nie należy z nią zwlekać.
Kontrola pomieszczenia pod kątem podsłuchów często jest zamawiana dopiero wtedy, gdy klient jest przekonany, że informacje już wyciekły.
Konkurencja zna warunki przygotowywanej oferty. Druga strona sporu powtarza zdania wypowiedziane podczas zamkniętego spotkania. Były wspólnik reaguje na decyzje, o których oficjalnie nie został poinformowany.
Wtedy pojawia się pytanie:
Czy w gabinecie, sali konferencyjnej, mieszkaniu albo samochodzie znajduje się urządzenie podsłuchowe
Profesjonalna kontrola TSCM nie musi być jednak wyłącznie reakcją na ujawniony incydent. W wielu sytuacjach znacznie większą wartość ma działanie wyprzedzające, przeprowadzone przed negocjacjami, zmianą właścicielską albo spotkaniem dotyczącym informacji o szczególnej wartości.
TSCM obejmuje techniki służące wykrywaniu i neutralizowaniu technologii oraz zagrożeń pozwalających na nieuprawniony dostęp do informacji albo ich wynoszenie. Kontrola powinna więc uwzględniać nie tylko klasyczny nadajnik radiowy, lecz również inne urządzenia, instalacje i słabości techniczne mogące prowadzić do przejęcia poufnych danych. Źródło: NIST
Gdy ktoś zna informacje, których nie powinien znać
Najbardziej oczywistym powodem zlecenia kontroli jest ujawnienie konkretnej informacji osobie nieuprawnionej.
Nie wystarczy jednak ogólne wrażenie, że konkurent „wie zbyt dużo”. Trzeba wskazać dokładny element, którego nie mógł łatwo przewidzieć na podstawie rynku, wcześniejszych działań firmy albo rozmów prowadzonych z klientem.
Może to być nieogłoszona cena minimalna, planowana zmiana członka zarządu, treść opinii prawnej, harmonogram przejęcia, decyzja o zakończeniu współpracy albo szczegół dotyczący negocjacji, który padł tylko podczas jednego zamkniętego spotkania.
Im bardziej charakterystyczna jest ujawniona informacja, tym łatwiej odtworzyć jej drogę.
Należy ustalić, gdzie została wypowiedziana, kto uczestniczył w rozmowie, w jakich dokumentach się znajdowała i jakie urządzenia były obecne w pomieszczeniu. Dopiero wtedy można ocenić, czy kontrola techniczna jest właściwym działaniem, czy wyciek mógł nastąpić przez dokument, konto, człowieka albo zewnętrznego doradcę.
Przed negocjacjami, przejęciem albo kluczowym posiedzeniem
Niektóre rozmowy mają tak dużą wartość, że kontrola bezpieczeństwa powinna zostać wykonana przed ich rozpoczęciem.
Dotyczy to między innymi negocjacji dotyczących sprzedaży przedsiębiorstwa, fuzji, dużego kontraktu, sporów wspólników, redukcji zatrudnienia, zmian technologicznych i postępowań prowadzonych wspólnie z kancelarią.
W takich sytuacjach nie trzeba czekać na pierwszy potwierdzony wyciek.
Celem kontroli jest zapewnienie, że pomieszczenie, w którym mają powstawać najważniejsze decyzje, nie zawiera nieznanych urządzeń ani technicznych podatności umożliwiających przechwycenie rozmów.
Badanie powinno zostać przeprowadzone odpowiednio wcześniej, aby pozostał czas na wyjaśnienie ujawnionych anomalii, zmianę wyposażenia albo przeniesienie spotkania.
Kontrola wykonana godzinę przed posiedzeniem może wykazać problem, ale nie zawsze pozwoli go spokojnie rozwiązać.
Po konflikcie wspólników albo zmianie zarządu
Konflikt właścicielski jest jednym z momentów największego ryzyka dla poufności firmy.
Osoba, która wcześniej posiadała legalny dostęp do gabinetów, sal, samochodów, systemów i urządzeń, może po utracie stanowiska nadal znać procedury bezpieczeństwa, rozmieszczenie infrastruktury oraz codzienne nawyki zarządu.
Nie oznacza to, że każdy były wspólnik albo członek zarządu powinien być podejrzewany o instalowanie urządzeń.
Zmiana kontroli nad firmą uzasadnia jednak przeprowadzenie technicznego przeglądu środowiska. Podobnie jak zmienia się hasła, klucze i uprawnienia, należy sprawdzić wyposażenie oraz pomieszczenia wykorzystywane do rozmów poufnych.
Szczególną uwagę warto zwrócić na elementy pozostawione przez osoby odchodzące: telefony konferencyjne, listwy zasilające, ładowarki, urządzenia sieciowe, sprzęt audiowizualny i inne przedmioty, których sposobu działania obecny zespół nie zna.
Po remoncie, serwisie albo zmianie wyposażenia
Urządzenie szpiegujące nie musi zostać wniesione przez osobę, która wzbudza podejrzenia.
Ryzyko zwiększa każdy moment, w którym wiele osób zewnętrznych posiada dostęp do strefy poufnej. Może to być remont, wymiana instalacji, montaż systemu konferencyjnego, serwis klimatyzacji, modernizacja sieci albo dostawa nowych mebli.
Nie należy przyjmować, że wykonawca techniczny działał nieuczciwie. Większość takich usług jest realizowana prawidłowo.
Problemem może być jednak brak kontroli nad tym, kto faktycznie wchodził do pomieszczenia, jakie elementy wymieniono i czy pozostawione urządzenia odpowiadają dokumentacji.
Kontrola po większej modernizacji pozwala utworzyć nowy punkt odniesienia. Firma wie, jakie wyposażenie znajduje się w pomieszczeniu i jakie emisje radiowe są związane z legalną infrastrukturą.
Dzięki temu późniejsze anomalie są łatwiejsze do wykrycia.
Po odejściu kluczowego pracownika
Nie każda osoba posiadająca poufne informacje ma dostęp do gabinetu zarządu.
Pracownik może jednak korzystać z sal konferencyjnych, samochodów służbowych, urządzeń mobilnych i pomieszczeń, w których prowadzone są rozmowy dotyczące klientów lub strategii.
Jeżeli odejściu towarzyszy konflikt, przejście do konkurencji, próba pozyskania klientów albo ujawnienie nieautoryzowanego kopiowania dokumentów, warto objąć analizą również bezpieczeństwo techniczne.
Sama kontrola pomieszczeń nie zastąpi audytu kont, urządzeń i uprawnień. Oba obszary powinny być połączone.
Jeżeli były pracownik nadal posiada aktywną sesję w systemie konferencyjnym albo dostęp do chmury, sprawdzenie ścian nie rozwiąże problemu. Podobnie analiza informatyczna nie wykryje rejestratora działającego bez połączenia z siecią.
Gdy pomieszczenie było pozostawione bez kontroli
Kontrola jest również uzasadniona po sytuacji, w której osoba nieuprawniona mogła przez dłuższy czas przebywać w strefie poufnej.
Może to być włamanie, niejasne zdarzenie alarmowe, zagubienie kluczy, niewłaściwe działanie ochrony albo udostępnienie gabinetu bez nadzoru ekipie zewnętrznej.
Nawet jeśli niczego nie skradziono, trzeba sprawdzić, czy do pomieszczenia czegoś nie wniesiono.
W takim przypadku czas ma szczególne znaczenie. Należy ograniczyć liczbę osób wchodzących do pomieszczenia, zachować monitoring i rejestry wejść oraz nie przeprowadzać porządków przed wykonaniem dokumentacji.
Kontrole cykliczne w firmach szczególnie narażonych
W części organizacji kontrola TSCM nie powinna być jednorazowym wydarzeniem.
Kancelarie, firmy technologiczne, podmioty uczestniczące w przejęciach, instytucje finansowe, zarządy dużych przedsiębiorstw i organizacje prowadzące negocjacje strategiczne regularnie przetwarzają informacje, których ujawnienie może przynieść dużą korzyść konkurencji albo drugiej stronie sporu.
Częstotliwość kontroli należy dopasować do ryzyka. Inny harmonogram będzie odpowiedni dla gabinetu używanego codziennie przez ten sam zespół, a inny dla sali, do której regularnie wchodzą doradcy, wykonawcy i goście zewnętrzni.
Badanie warto również powtarzać po ważnych zmianach, a nie tylko w stałych odstępach.
Nowy system konferencyjny, remont, zmiana ochrony albo intensywny konflikt mogą być ważniejszym powodem kontroli niż sama data ostatniego audytu.
Kiedy sama kontrola pomieszczenia nie wystarczy
Jeżeli osoba nieuprawniona zna treść wiadomości, lokalizację, dokumenty i rozmowy telefoniczne, problem prawdopodobnie nie ogranicza się do jednego pokoju.
Potrzebna może być analiza urządzeń mobilnych, kont, poczty, chmury, sieci i aktywnych uprawnień.
Podobnie wygląda sytuacja, gdy wyciek dotyczy pliku, który nigdy nie był omawiany na głos.
Wtedy pierwszym kierunkiem powinien być obieg dokumentu.
Kontrola TSCM ma największą wartość wtedy, gdy stanowi część szerszego postępowania dotyczącego bezpieczeństwa informacji. Nie powinna być stosowana jako uniwersalna odpowiedź na każdy incydent.
Czy kontrolę można zlecić bez konkretnego podejrzenia
Tak, szczególnie jeżeli ma charakter prewencyjny i dotyczy pomieszczenia o wysokim poziomie poufności.
Nie oznacza to jednak, że każda firma potrzebuje rozbudowanego badania wszystkich biur.
Zakres powinien być proporcjonalny do wartości informacji, liczby osób posiadających dostęp, historii obiektu oraz możliwych konsekwencji wycieku.
Przed zleceniem trzeba określić, które pomieszczenia są naprawdę krytyczne i jakie rozmowy się w nich odbywają.
Dobrze zaplanowana kontrola jednego gabinetu, sali i samochodu może przynieść większą wartość niż powierzchowne sprawdzenie całego budynku.
Co powinien otrzymać klient
Rezultatem profesjonalnej kontroli nie powinno być wyłącznie ustne zapewnienie, że nie znaleziono podsłuchu.
Ustawa o usługach detektywistycznych wymaga pisemnej umowy oraz końcowego sprawozdania opisującego między innymi zakres i przebieg czynności, stan faktyczny i datę zakończenia realizacji. Raport wraz z materiałami dokumentującymi ustalenia powinien zostać przekazany zleceniodawcy. Źródło: ustawa o usługach detektywistycznych
Dokument powinien wskazywać, jakie pomieszczenia i urządzenia objęto badaniem, jakie metody zastosowano, jakie anomalie ujawniono oraz jak zostały wyjaśnione.
Powinien również uczciwie opisywać ograniczenia. Kontrola dotyczy konkretnego czasu i zakresu. Nie gwarantuje, że urządzenie nie zostanie wniesione po jej zakończeniu albo że źródło wycieku nie znajduje się poza kontrolowanym obiektem.
Modelowy przykład
Spółka przygotowywała sprzedaż części przedsiębiorstwa. W negocjacje zaangażowano zarząd, kancelarię i zewnętrznego doradcę.
Przed rozpoczęciem końcowych rozmów zlecono kontrolę sali konferencyjnej i gabinetu prezesa.
Nie ujawniono nieautoryzowanego nadajnika ani rejestratora. W sali znajdował się jednak system konferencyjny powiązany z kontem osoby, która kilka miesięcy wcześniej zakończyła współpracę ze spółką.
Nie potwierdzono, że konto zostało wykorzystane do przechwytywania rozmów. Sama nieaktualna konfiguracja tworzyła jednak niepotrzebne ryzyko.
Dostęp został usunięty, urządzenie ponownie skonfigurowano, a firma wprowadziła procedurę kontroli uprawnień po odejściu pracowników i doradców.
Kontrola nie wykazała klasycznego podsłuchu.
Wykazała techniczną lukę, której nie należało pozostawiać przed rozpoczęciem negocjacji.
Komentarz Dawida Kuciela
Najlepszy moment na kontrolę często przypada przed wyciekiem, a nie po nim.
Jeżeli zarząd ma za tydzień omawiać przejęcie firmy, nie ma powodu czekać, aż konkurencja pozna warunki transakcji.
Z drugiej strony nie namawiam do sprawdzania każdego pomieszczenia przy najmniejszym podejrzeniu.
Najpierw oceniamy wartość informacji, sposób dostępu do obiektu i realne źródła ryzyka.
Czasami rekomendacją będzie pełna kontrola techniczna. Czasami najpierw trzeba sprawdzić konta, urządzenia i obieg dokumentów.
Najważniejsze, aby działanie odpowiadało problemowi, a nie jedynie uspokajało klienta.
Podsumowanie
Profesjonalne wykrywanie podsłuchów warto zlecić po ujawnieniu poufnej informacji, przed ważnymi negocjacjami, po konflikcie wspólników, zmianie zarządu, remoncie, serwisie albo niekontrolowanym dostępie do pomieszczenia.
W organizacjach o wysokim poziomie ryzyka kontrola może mieć charakter cykliczny.
Nie każda sprawa wymaga jednak takiego samego zakresu. Czasami źródłem problemu jest pomieszczenie, a czasami telefon, konto, dokument albo człowiek.
Dlatego pierwszym etapem zawsze powinna być analiza sytuacji.
Dopiero po niej można odpowiedzialnie zdecydować, co, kiedy i jak dokładnie należy sprawdzić.
Powiązane materiały
Jeżeli ten temat dotyczy Twojej sytuacji, zobacz również:
Artykuł porządkuje zagadnienie. Zakres działań zawsze powinien wynikać z celu, dostępnych informacji i realnej sytuacji klienta.